Il Digital Omnibus entra in vigore: l’AI Act cambia calendario e le imprese hanno un quadro nuovo

Un regolamento che riscrive il calendario

Il 24 luglio 2026 la Gazzetta Ufficiale dell’Unione europea ha pubblicato il Regolamento (UE) 2026/1744, il pacchetto di semplificazione noto come Digital Omnibus sull’intelligenza artificiale. Da oggi, 27 luglio, il testo è in vigore: l’AI Act resta la cornice, ma scadenze, obblighi e governance cambiano in modo sostanziale.

Il baricentro della compliance resta a Bruxelles: da oggi l’AI Act ha un calendario nuovo e le imprese hanno un perimetro più chiaro entro cui muoversi.

Il regolamento interviene su cinque assi: la proroga dei termini per i sistemi ad alto rischio, l’attenuazione dell’obbligo di alfabetizzazione in materia di IA, i chiarimenti sulla nozione di «componente di sicurezza», l’attribuzione di competenze aggiuntive all’AI Office e un pacchetto di misure a sostegno di PMI e piccole imprese a media capitalizzazione.

La lettura politica è chiara: Bruxelles sceglie di dare respiro alle imprese sul fronte più oneroso, quello dell’alto rischio, e al tempo stesso stringe dove il rischio è percepito come immediato: contenuti sintetici, deepfake, tutela dei minori.

Alto rischio: la proroga vale sedici e ventiquattro mesi

Il termine per l’applicazione delle disposizioni sui sistemi ad alto rischio, fissato in origine al 2 agosto 2026, slitta a due date nuove: il 2 dicembre 2027 per i sistemi ad alto rischio autonomi e il 2 agosto 2028 per quelli integrati nei prodotti. Gli Stati membri guadagnano tempo anche sulle sandbox regolamentari, gli spazi di sperimentazione protetta la cui istituzione è differita al 2 agosto 2027.

Il coordinamento con le normative di settore è l’altra novità strutturale. Quando la legge settoriale, come quella su dispositivi medici, giocattoli o ascensori, prevede già requisiti equivalenti sull’IA, la Commissione potrà limitare l’applicazione dell’AI Act con atti esecutivi dedicati. I prodotti disciplinati dal Regolamento Macchine escono dall’applicazione diretta dell’AI Act: eventuali requisiti aggiuntivi di salute e sicurezza legati all’IA verranno introdotti direttamente nella normativa macchine.

La trasparenza arriva comunque il 2 agosto

Chi legge la proroga come una pausa generale commette un errore di calendario. Gli obblighi di trasparenza dell’AI Act si applicano dal 2 agosto 2026, fra pochi giorni. Chatbot, generatori di immagini, audio e video sintetici, sistemi di riconoscimento delle emozioni e strumenti capaci di produrre deepfake dovranno dichiararsi: le persone dovranno essere informate quando interagiscono con un sistema di IA, salvo che ciò sia evidente. I contenuti sintetici richiederanno una marcatura tecnica leggibile dalle macchine a carico dei fornitori e un’informativa a carico degli utilizzatori. Fa eccezione il testo di pubblico interesse sottoposto a revisione umana o controllo editoriale, del quale una persona fisica o giuridica assume la responsabilità.

Le violazioni sono sanzionabili fino a 15 milioni di euro o, per le imprese, fino al 3 % del fatturato mondiale annuo. All’ANSA l’avvocato Ernesto Belisario riassume la tensione operativa: «linee guida pubblicate a meno di due settimane dalla scadenza lasciano alle imprese margini strettissimi per adeguarsi».

Etichettatura anticipata e divieti inediti

Sul fronte dei contenuti generati, il Digital Omnibus accorcia i tempi. I fornitori avranno tre mesi, in luogo dei sei originari, per adeguarsi all’obbligo di etichettatura dei contenuti generati artificialmente: la scadenza è fissata al 2 dicembre 2026.

Arrivano poi divieti inediti. Il regolamento vieta la generazione di contenuti sessuali o intimi in assenza di consenso della persona raffigurata, insieme al materiale di abuso sui minori. Da dicembre 2026 saranno vietati gli strumenti di nudificazione, i software capaci di creare immagini di nudo di persone reali o di rimuovere digitalmente gli indumenti da fotografie esistenti.

Governance: l’AI Office cresce, le autorità nazionali restano

L’Ufficio europeo per l’IA supervisionerà direttamente i sistemi basati su modelli di uso generale quando il fornitore del modello e quello del sistema coincidono. Resta blindata la competenza delle autorità nazionali negli ambiti sensibili: forze dell’ordine, giustizia, gestione delle frontiere, mercati finanziari. Per l’Italia il presidio operativo fa capo all’Agenzia per la Cybersicurezza Nazionale e ad AgID, secondo l’assetto disegnato dalla legge 132/2025, i cui decreti attuativi sono all’esame del Parlamento.

Implicazioni per il mercato italiano

Per le imprese italiane il quadro che esce dal 27 luglio è a due velocità. Chi sviluppa o adotta sistemi ad alto rischio guadagna tra i sedici e i ventiquattro mesi di margine: tempo utile per portare la conformità dentro il ciclo di sviluppo, in luogo di rincorrerla a ridosso della scadenza. Chi gestisce chatbot rivolti al pubblico, generatori di contenuti o strumenti di sintesi vocale ha invece davanti giorni, ed è la platea più larga: banche, assicurazioni, utility, pubbliche amministrazioni, e-commerce. Le misure dedicate a PMI e small mid-cap, insieme all’attenuazione dell’obbligo di alfabetizzazione, riducono il carico documentale, ma la sostanza resta: ogni contenuto sintetico dovrà essere riconoscibile, ogni interazione con un’IA dichiarata.

Da dove partire

Quattro mosse valgono per qualsiasi organizzazione, a prescindere dal fornitore tecnologico scelto. Primo: rimappare l’inventario dei sistemi di IA sul calendario nuovo, separando ciò che ricade nell’alto rischio, con orizzonte 2027-2028, da ciò che ricade nella trasparenza, con orizzonte immediato. Secondo: trattare il 2 agosto come scadenza operativa, verificando che chatbot e assistenti rivolti al pubblico dichiarino la propria natura. Terzo: mettere in roadmap la marcatura tecnica dei contenuti generati entro il 2 dicembre 2026, la scadenza che il Digital Omnibus ha anticipato. Quarto: presidiare le linee guida attuative della Commissione, perché sarà lì che i principi diventeranno requisiti verificabili. Il rinvio dell’alto rischio sposta la pressione più avanti, e la domanda per i prossimi mesi è se le imprese europee useranno questo tempo per costruire conformità by design o per rinviare le scelte ancora una volta.

Autore

Pablo Liuzzi

Founder, Synthos Logic